fix(gps-tracks): address ET-011 review — JS UI tests + flat 403 contract

Закрывает findings из docs/work-items/ET-011/12-review.md (REQUEST_CHANGES,
попытка 3/3):

P1-01 — добавлены поведенческие JS unit-тесты UI download-flow
  - tests/web/track_download.test.js — 28 кейсов (node --test):
      • _parseFilenameFromCD — RFC 5987 приоритет, plain fallback,
        битый percent-encoding, null/empty (REQ-F-05.2, AC-2 UI)
      • _handleDownloadError — 400/403/404/413/5xx тосты, defensive
        при отсутствии showToast, поддержка flat (ADR-015 §G) и legacy
        wrapped 403-форм (REQ-F-05.4, AC-7 UI)
      • _renderTrackPopupHtml — наличие кнопки, aria-label «Скачать GPX»,
        data-track-id, отсутствие при невалидном id, регрессия прочих
        полей (REQ-F-01, AC-1)
  - tests/web/test_track_download.py — pytest-обёртка (статические
    проверки + запуск Node-раннера), исполняется в обычном pytest tests/
  - 04b-ui-test-cases.md: AC-13 (mobile-bbox) явно маркирован как
    MANUAL release-smoke (Playwright-раннер в проекте не настроен;
    альтернатива согласована reviewer'ом в P1-01).

P2-01 — устранено расхождение «doc vs runtime» по контракту 403
  - endpoint.py: HTTPException(detail={...}) → JSONResponse(content={...}),
    чтобы FastAPI не оборачивал dict во второй слой «detail». Контракт
    теперь совпадает с ADR-015 §G и ADR-014 §6:
        {"detail":"source_forbidden","external_urls":[...]}
  - test_gps_tracks_download.py IT-05: упрощено — body уже плоский,
    без двухуровневого `body.get("detail", body)` workaround.
  - gps_tracks.js::_handleDownloadError: flat-форма стала приоритетной,
    wrapped-форма оставлена как defensive fallback (с комментарием).

Регрессия: 89/89 API-тестов + 24/24 предыдущих JS-тестов + 28 новых
JS-тестов download-flow проходят. ruff check — clean.

Refs: ET-011

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

tests/api/test_gps_tracks_download.py

@@ -247,14 +247,11 @@ async def test_it05_source_forbidden_403(tmp_path):
 
     assert resp.status_code == 403
     body = resp.json()
-    # FastAPI обёртывает наш detail-dict в {"detail": {...}}.
-    detail = body.get("detail", body)
-    if isinstance(detail, dict):
-        assert detail.get("detail") == "source_forbidden"
-        assert detail.get("external_urls") == ["https://www.wikiloc.com/abc"]
-    else:
-        # Если FastAPI отдал просто строку — должно содержать source_forbidden
-        assert "source_forbidden" in str(detail)
+    # ADR-015 §G: одноуровневый контракт через JSONResponse в endpoint.py
+    # (см. P2-01 в 12-review.md). Раньше FastAPI оборачивал detail-dict
+    # в {"detail": {...}}; сейчас body == {"detail": "...", "external_urls": [...]}.
+    assert body.get("detail") == "source_forbidden"
+    assert body.get("external_urls") == ["https://www.wikiloc.com/abc"]
 
 
 @pytest.mark.asyncio